商用渦扇發動機推力控制故障處置功能解析

魯勁松 ，張天宏

（1.中國航發商用航空發動機有限責任公司，上海 200241；2.南京航空航天大學能源與動力學院，南京 210016）

0 引言

在以往的航空發動機控制系統中，許多單一的和預期的故障組合會導致發動機推力不可控的危險情況發生，而此時機組人員無法快速和正確地應對、消除和減輕事件的危險性。波音公司新設計的B737MAX 和B787 飛機增加了推力控制故障處置(Thrust Control Malfunction Accommodation，TCMA）和電子超轉(Electronic Over Speed，EOS)保護功能。美國聯邦航空管理局（Federal Aviation Administration，FAA）發布的B787 飛機型號合格證數據表T00021SE中將推力故障處置列為飛機的型號新設計特征，飛機具有推力故障處置功能。

中國商用飛機和航空發動機的研發時間不長，特別是商用航空渦扇發動機尚處于研發初期，對推力控制故障處置的技術和方法研究還較少。戚學鋒等論述了CCAR-25-R4 第25.901(c)適航條款有關不可控高推力的部分申請豁免的思路和方法；李婧分析了航空發動機在發生不可控高推力后的失效狀態和風險計劃；徐彧開展了自動飛行系統模式的性能指標及符合性驗證方法研究，提出了適宜的符合性驗證方法，但未討論25.901(c)的符合性；張雷雷開展了民用航空發動機數控系統的功能危險性評估（Function?al Hazard Analysis，FHA）方法研究，同時以CFM56-7B 發動機為研究對象，開展了控制系統失效模式和影響分析（Failure Modes and Effect Analysis，FMEA）的方法與過程研究，但因為B737NG 飛機沒有設計TCMA 功能，因而未開展相關內容的研究；姬猛研究了在飛行中飛機推力不對稱時的飛行控制律重構技術，但未涉及TCMA系統功能的研究。

智能技術適用于解決被控對象及其環境隨時間發生變化的問題，應大力推動智能技術在航空發動機上的應用。本文基于系統工程的方法，按照設計需求來源、需求捕獲、需求定義、系統架構、系統功能分配的正向設計步驟對GEnx-1B 發動機的TCMA 功能進行解析研究。

1 需求來源

1.1 安全性需求與符合性驗證

中國民用航空規章第25 部《運輸類飛機適航標準》CCAR-25-R4 第25.901(c）要求：“對于動力裝置和輔助動力裝置的安裝，必須確認任何單個失效或故障以及可能的失效組合都不會危及飛機的安全運行”。以往的美國聯邦航空局(FAA)和歐洲航空安全局(EASA)的咨詢公告也指出，如果申請人無法證明飛機在不可控高推力故障條件下滿足該條款要求，應申請等效安全或部分豁免。因此，國外多個機型對25.901(c)條款申請了部分豁免。中國民航總局2019年也為C 系列飛機BD-500-1A10/-1A11 頒布《關于對CCAR-25-R4 25.901(c）要求的部分豁免》。

上述豁免基于2種假設：

（1）大部分不可控高推力失效場景可通過發動機控制系統推力控制異常處理功能來糾正。

（2）允許機組確定發動機停車的恰當時機，并通過獨立的燃油切斷裝置關閉故障發動機，以防止這類故障導致災難性的后果。

但最近歐美適航審查方認為安全性分析中許多假設需要確認，需要重新進行試驗驗證規劃，推薦采用MOC5 和MOC6 方法驗證,即采用地面試驗和飛行試驗的符合性驗證方法。

1.2 安全需求驅動飛機設計改進

工程研究和飛機運營經驗以及1997 年沙特阿拉伯航空公司波音737-200飛機的空難表明，這類假設條件并不一定總是正確的。1997 年沙特航空公司的一架波音B737-200 飛機在納季蘭（Najran）機場正常起飛過程中，右側發動機推力增大并且顯示超溫，機組人員在飛行速度為120 kn（212 km/h）時中斷起飛，將2 臺發動機的油門桿拉到慢車/反推位置，但是右側發動機仍然保持起飛推力，飛機最終沖出跑道，遭受結構損傷，主起落架倒塌，造成燃油泄漏引起火災，使飛機燒毀，在疏散過程中有人員受傷。

事故原因分析表明機組人員處置存在不確定性和沒有能夠正確處置的問題。而對于復雜的應急場景需要通過融入邏輯推理、自適應控制和智能控制技術才能更好地解決復雜系統運行時的安全問題。解決方案是利用智能技術開發用于偵、探測和處置的新系統，提高機組人員在緊急情況下的處置能力。波音公司和空客公司對新設計飛機的發動機提出了增加推力控制故障調節TCMA功能的需求，當出現推力控制故障（Thrust Control Malfunction,TCM）事件時，由發動機的控制系統自動完成該功能，而不由飛行機組來進行所謂“適當”的處置，這樣更有利于保障飛機飛行的安全性。

推力控制故障TCM 定義為無指令和不可控的推力偏離，在這種情況下，油門指令無效。屬于單個失效，導致發動機接收到的指令是較低推力狀態，而實際上發動機推力大幅增加至高于指令或保持高推力。

推力控制故障處置TCMA 定義為發動機控制系統可以防止推力控制故障TCM 事件對飛機造成危害。TCMA 功能將監控產生的推力和指令推力，確保發動機推力不會反過來影響飛機的安全性。

TCMA 系統目前應用于配裝GEnx、LEAP-A/B、Trent1000、Trent XWB 發動機的飛機上，飛機在每次飛行前要實施TCMA 功能自檢。波音公司2010 年申請了1 項歐盟專利EP1350 942 B1：推力故障處置系統和方法（Thrust Control Malfunction Accommodation System and Method）。美國發動機燃油控制系統供應商漢勝公司(Hamilton Sundstrand Corporation) 2020年也分別申請了歐盟專利EP3744958(A1)和美國專利US2020378315(A1)：燃油系統與集成推力控制故障保護和方法（Fuel System with Integrated Thrust Control Malfunction Protection and Method）。

1.3 TCM推力控制故障的危害性

推力控制故障會導致發動機推力無法控制，這對飛機運行時產生的危險可能是災難性的。一種特別危險的情況是飛機在起飛、漸近或著陸時推力控制系統發生故障，導致發動機繼續在大推力狀態下運行，如果有其中1 臺發動機不能響應降低功率的命令，將出現嚴重的推力不對稱的情況，使飛機遭受很大的側向力，此時飛行員很難控制飛機；即使推力的不對稱可以控制，但過大的推力也可能導致飛機的滑行，停止距離超過可用的跑道長度。在這種情況下，即使機組人員擁有高超的駕駛技能和迅速的反應能力，也可能不足以處理和消除這種安全風險。

2 TCMA系統架構

GEnx 發動機的TCMA 系統架構如圖1 所示。系統由飛機綜合航電系統、發動機電子控制器(Electron?ic Engine Controller，EEC)和燃油計量裝置（Fuel Me?tering Unit,FMU）組成。由飛機的通用數據網(Com?mon Data Network,CDN)提供飛行高度信息和油門桿角度信號以及飛行速度信號給發動機電子控制器EEC,EEC判別觸發TCMA功能后控制FMU中的TCM/EOS 電液伺服閥液壓關閉FMU 中的高壓關閉閥(High Pressure Shut off Valve, HPSOV),使燃油不會進入燃油噴嘴和燃燒室。

圖1 GEnx發動機TCMA系統架構

波音公司的B787飛機的綜合航電系統的通用核心系統（Common Core System，CCS）如圖2所示。其具有集成的模塊化架構，提供了1 組共享計算、數據總線和輸入/輸出資源，以支持計算機和系統接口對多飛機飛行系統的需求。該系統包括2 個通用計算設備(Common Computing Resources，CCR)、10 個CDN 和18 個遠程 數據 采 集器（Remote Data Concentrator，RDC）等，每個CCR 機柜中都安插有若干個外場可更換模塊的通用處理模塊（General Processor Module，GPM)以及傳輸速度為100MB/s 的CDN。與傳統的航電系統相比，該系統還綜合了燃油控制、電源、液壓、環控、防冰和防火等系統。

圖2 B787飛機的綜合航電系統的通用核心系統

3 TCMA系統需求

TCMA 系統的設計需求來自飛機的安全性需求，通過邏輯分解飛機級安全性需求逐級向下分配給發動機—控制系統—EEC 和執行機構，其中EEC 將控制功能分配到電子硬件和嵌入式軟件。整個需求分配過程見表1。

表1 飛機安全性需求分配

4 TCMA功能

4.1 TCM事件偵測

TCM 包含非指令和不受控2 種，TCM 事件的偵測由EEC 內的軟件判定，如果同時滿足以下條件，1個TCM事件就認為被偵測到：

（1）高壓轉子轉速值（修正）大于“TCMA 邊界”。 TCMA 邊界定義為門限值為最大額定推力的30%，或者同時有中斷起飛事件發生時最大額定推力的25%。當推力小于這些值時不需要TCMA的保護；

（2）修正空速（Calibrated Air Speed，CAS）小于200 kn（370 km/h）。說明飛機此時處于起飛、著陸或者漸進階段，在這個階段對發動機進行保護，避免出現推力不平衡；

（3）飛機高度需低于5334 m，TCMA 在低空才起作用。

上述3 個條件只是前提條件，即TCM 事件發生，但不一定觸發TCMA 功能，觸發TCMA 功能需要符合下一節的TCMA處置邏輯。

4.2 TCMA處置邏輯

當下列條件同時發生并且持續120 ms 之后，即進入TCMA處置過程。

（1）4.1 節所述的TCM 事件都被偵測到（不考慮反推力的位置）。

（2）飛機在地面上，油門桿保持在慢車域，油門桿的角位移傳感器的信號值處于設定區間。

（3）轉速傳感器和進口總溫（Total Air Temper?ature，TAT）傳感器沒有故障。

TCMA 邏輯鎖定后快速觸發TCMA 過程，EEC 將激勵FMU 中的TCM/EOS 電液伺服閥，控制高壓關閉閥HPSOV切斷發動機燃燒室的燃油供應。

4.3 TCMA激活

EEC 的2 個通道通常是相同的，任何一個通道都可以獨立控制發動機，在同一時間只有1 個通道控制發動機的作動器和電磁線圈等，該通道被稱作控制通道或激活通道，另外一個通道處于待機模式(非激活通道)。只要EEC 的2 個通道是正常的，EEC 將在新的一次航班發動機起動時更換控制通道。

但是激活和非激活的例外是推力控制故障處置TCMA 模式，其功能被設計為激活/激活，只要TCMA事件被偵測到，任何一個通道都可以通過FMU 的HPSOV自動關閉到發動機燃油噴嘴的燃油供應。

4.4 TCMA功能監控與自檢BIT

在每次飛行前起動發動機時，發動機電子控制器EEC 需要完成TCMA 功能準備和完整性自我檢測,檢測邏輯保證激活TCMA 繼電器信號而不會激活TC?MA 處置。如果EEC 執行的TCMA 準備測試失敗，EEC 將通過駕駛艙的發動機指示與機組警報系統（Engine Indication Crew Alerting System，EICAS）顯示“ENG TCMA”故障信息并告知機組人員。

TCMA 功能自檢是校驗飛機上的開關接通與關斷電源時FMU 燃油關斷功能的電氣連接是否正確。該檢查在2個EEC 通道上進行，先后在控制通道和備用信道上進行。

TCMA 功能自檢驗證當FMU 中燃油計量閥（Fuel Metering Valve，FMV）處于某一固定的開度、EEC 的2個通道關閉時，高壓關斷閥HPSOV 是否關閉。如果HPSOV 未關閉，就會有燃油流量被檢測到，TCMA 自檢失敗。當然EEC 的機內自檢主要還是通過自檢邏輯檢測其他電氣性能的降級和漂移。

TCMA 是獨立操作項目，不會影響發動機電子超轉EOS系統。如果滿足所有的超轉條件，EOS依然可以關閉發動機。另外，由于TCMA 和EOS共同調用相同的液壓系統電液元件，只要條件符合就會激活這2項功能切斷供油，沒有優先順序。

5 結論

（1）TCMA 的功能通過1 個集成的智能控制系統實現，主要針對起飛、著陸階段，在地面避免出現推力不平衡，有效減小不可控高推力故障的危害。TCMA功能可以不依靠飛行機組的干預自動完成推力不可控故障事件的處置，從而保證飛機在TCM 事件發生時不受危害。

（2）TCMA 功能的實現需要飛機與發動機一體化設計，發動機的EEC 是完成TCMA 功能的核心部件。進行飛機系統與發動機控制系統設計時，應完整考慮軟硬件的功能分配、架構設計、需求分解、接口定義以及系統的集成驗證。

（3）現有TCMA 的系統架構及功能設計是適航審定機構可以接受的一種飛機安全性需求的符合性設計方案，是新型商用航空發動機應該具有的設計特征。